AWSサービスはすべてGDPRの準備ができている

2018年5月25日に、EUの一般データ保護規則(GDPR)が施行される。Amazonウェブサービスは、最近、一般的に利用できるサービスすべてが、今ではGDPR規則に準拠していることを発表した。

GDPRは、過去20年間で、データプライバシ規則のもっとも大きな改革だ。これは、EUで事業を行っている組織だけでなく、場所に関わらず、EU市民のデータを扱う組織に影響する。

AWSサービスがGDPRの準備をすることは、様々な面を持った課題だ。個人データのセキュリティは、一連の国際標準に対するサービを実装して認証するAWSにより、GDPRに準拠した基礎を作り上げる。AWSがサービスを認証された標準は、クラウドセキュリティのためのISO 27017、クラウドプライバシのためのISO 27018、技術測定のためのISO 27001、Service Organisation Control 1/2/3、BSIのクラウドコンピューティングコンプライアンスコントロールカタログ (C5)のようなEU特定の認証だ。

AWSは、GDPR実行のセキュリティ面で役に立つサービスを提供する。Amazon GuardDutyは、モニタリングと脅威検出で役に立つ。Amazon Macieは、機械学習を使い、S3上の個人識別情報とIP関連情報を発見する役に立つ。Amazon Inspectorは、自動的にAWSベースのアプリケーションのセキュリティにアクセスできる。最後に、AWS Config Rulesは、セキュリティ準拠のためにクラウドリソースを監視する。

AWSは、また、AWSでGDPRに準拠する案内とGDPR情報のポータルに関する情報を含む、17ページのドキュメントを公表した。AWSは、GDPRに準拠するデータ処理補遺条項(DPA)も提供し、顧客がDPA規則に準拠できるようにする。AWSは、GDPR要求の一部として、CISPEの行動規範に従っている。Amazonは、2日間のGDPRワークショップを提供し、サンフランシスコや東京と同じく、ヨーロッパ諸国でもうすぐ開催されるAWS Summitの間にGDPRのプレゼンテーションを取り上げる。

上述したように、GDPRは治外法権が適用される。つまり、GDPRは、処理がEUで実施されるかどうかに関わらず、EUの管理者と処理者が個人データを処理することに適用される。また、GDPRは、活動がEU市民に提供される商品やサービスに関係するならば、EUに設置された管理者や処理者でなくても、EUのデータ主体の個人データを処理することに適用される。

GDPRのもう1つの重要な側面は、その同意が明確で、簡単に読んで理解できなければならないことだ。データ処理の目的は同意に結びつき、承諾したのと同じくらい簡単に同意を取り消せなければならない。

EUの顧客は、新しいGDPR規則のもとで、忘れられる権利、アクセスする権利、データポータビリティの権利、プライバシ・バイ・デザインとプライバシ・バイ・デフォルトを含む、複数の権利を持つ。世界中でEUの顧客データを処理する企業は、データ漏洩に最初に気づいた時から72時間以内に、データ漏洩を報告する義務を負う。また、データ保護責任者(DPO)を指名する必要がある。

GDPRの違反者は、2,000万ユーロか、年間売上高の4%までのどちらか金額の多い制裁金を課される。つまり、準拠することが高くつくことはないということだ。